Com llegir un sòcol VPN sense confiar en un nom de domini
Un nom d'amfitrió al costat d'un procés és una conjectura sobre una adreça. Llegeix els extrems numèrics, l'estat de la connexió i el PID propietari abans de culpar un client VPN.
El teu visor d'extrems llista un procés VPN al costat del domini d'una empresa de publicitat, i aquesta parella inicia una història que les dades no poden sostenir. El nom és una cerca inversa pintada sobre un extrem numèric, i canvia sempre que canvia la cerca. Les columnes que superen l'escrutini són les adreces, l'estat de la connexió i el PID que posseeix el sòcol.
Res en una taula de sòcols descriu què ha viatjat dins d'una connexió. Qualsevol cosa que porti un nom d'amfitrió ja s'ha interpretat per tu.
Un nom resolt és una traducció, no un camp
El visor demana al resolutor que converteixi una adreça en un nom, tal com funciona una consulta PTR al DNS. La resposta pot arribar d'una memòria cau local, d'una entrada del fitxer hosts, d'un anunci de descobriment de veïns o d'un proveïdor que va lliurar l'adreça a algú altre la setmana passada, i l'eina no té manera de distingir aquestes fonts. Dues màquines que observen una connexió poden imprimir noms diferents per a la mateixa adreça de parella, cosa que costa d'explicar si creus que el nom va sortir del cable. Tracta l'etiqueta com una comoditat per als ulls humans i no com una afirmació sobre qui va rebre els bytes.
La documentació de TCPView descriu les columnes d'extrem, estat i procés i documenta com desactivar els noms resolts, cosa que val la pena fer abans de llegir-hi cap significat en un domini. Desactivar la resolució fa visible la incertesa en lloc de crear-la: encara tens una adreça, i la feina de decidir què significa simplement ha tornat a tu.
Llegeix les columnes numèriques en ordre
Treballa d'esquerra a dreta i atura't a la primera columna que respongui la teva pregunta. L'extrem local mostra a què s'ha lligat el procés, l'extrem remot mostra si existeix cap parella, l'estat mostra si l'associació és viva, i el PID connecta la fila amb un executable.
Les tres observacions següents són formes il·lustratives i no sortida capturada de cap màquina d'aquí. Estan agrupades pel que cadascuna pot sostenir, perquè aquesta és la pregunta que la gent fa realment a una fila de sòcol:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Un oient obert al qual altres màquines no poden arribar, lligat a l'adreça de bucle local, és com molts clients VPN exposen el seu propi canal de control. Una vinculació comodí significa que el procés ha acceptat connexions a totes les interfícies, i si això és perillós depèn del tallafoc de l'amfitrió i no de la fila mateixa. Només una associació que existeix i porta comptadors s'assembla a l'acusació que la gent sol voler fer, i fins i tot aquesta fila s'atura abans de la càrrega útil.
Verifica la propietat abans de nomenar un culpable
La identitat del procés és on la majoria d'acusacions fallen de debò. Els PID es reutilitzen, els actualitzadors i els ajudants del navegador generen fills de vida curta, i un client VPN pot lliurar el seu trànsit a un servei de sistema privilegiat. Compara el camí de l'executable i el procés pare en lloc del nom de visualització, perquè el nom de visualització l'escull qui va construir el binari.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathLa mateixa lectura existeix a Linux, on les estadístiques de sòcols poden portar informació del procés quan tens prou privilegis per veure els sòcols d'altres usuaris. Demanar els sòcols establerts lligats al port 443 o des d'ell estreny la sortida a les files que importen:
ss -tunp state established '( sport = :443 or dport = :443 )'Captura la marca de temps juntament amb la fila. Un PID per si sol és una referència mòbil, perquè quan obris un gestor de processos el sòcol pot pertànyer a un successor i el camí que inspecciones pot no ser el que mantenia la connexió. Registra el parell d'extrems, l'estat i el PID com una sola observació, i la troballa sobreviu a un reinici o a una segona opinió.
Què val encara un nom
Un nom d'amfitrió no és una prova sense valor. Registra que algú va associar aquella adreça amb aquell nom en algun moment. Aquesta associació mereix atenció quan l'adreça pertany a un proveïdor que atén milers de clients no relacionats. És una afirmació més feble que una destinació, i és l'única afirmació que l'etiqueta pot sostenir.
Quan un nom sembla equivocat, compara l'adreça amb els rangs publicats del proveïdor i després pregunta què feia el procés en aquell moment: una comprovació d'actualització, una crida de llicència, un enviament de telemetria o un intercanvi de claus del túnel. Aquestes activitats deixen formes de connexió diferents, i aparellar la forma amb el moment informa més que aparellar el nom amb una empresa de la qual no et refies.
Preserva la fila abans d'aturar un ajudant compartit o de desinstal·lar res. Una conclusió defensable cobreix un extrem observat, el seu estat i el seu propietari; un veredicte de marca sencera construït sobre una etiqueta resolta no és una prova, i tampoc no ho és la tranquil·litat que un amfitrió de descàrrega conegut hagi de ser inofensiu.